代驾软件开发流程,wordpress 博客主题 seo,家在深圳论坛,网络广告案例istio
控制平面#xff1a; Pilot#xff1a;管理和配置部署在特定istio服务网格中的所有sidecar代理实例#xff0c;管理sidecar代理之间的路由流量规则#xff0c;并配置故障恢复功能#xff0c;如超时、重试、熔断。 Citadel#xff1a;istio中负责身份认证和证书管…istio
控制平面 Pilot管理和配置部署在特定istio服务网格中的所有sidecar代理实例管理sidecar代理之间的路由流量规则并配置故障恢复功能如超时、重试、熔断。 Citadelistio中负责身份认证和证书管理的核心安全组件1.5之后的版本取消啦其独立进程作为模块整合进istiod 证书签发机构CASDS服务器负责密钥和证书管理API服务器将安全配置分发给数据平面将证书以secret的形式挂载到命名空间客户端、服务端通过代理进行安全通信Envoy代理管理遥测和审计 Galley早版本只负责配置验证1.1之后升级为整个控制平面的配置管理中心不仅提供配置验证还负责配置管理和分发。通过网格配置协议和其他组件进行配置交互。
数据平面
服务发现、健康检测、流量路由、负载均衡、身份认证和授权、链路追踪
手动sidecar注入istioctl kube-inject -f ${yaml_file} | kubectl apply -f -单命名空间注入kubectl label namespace ${namespace_name} istio-injectionenabled全局注入kubectl edit mutatingwebhookconfiguration istio-sidecar-injector修改namespaceSelector配置如果某个命名空间不想自动注入则加上istio-injectiondisabled标签即可
istio注入过程 init容器isto-init用于设置pod中的iptables端口的转发 sidecar容器istio-proxy运行sidecar代理如envoy或Mosn sidecar(envoy启动配置) 查看kubectl exec -it ${pod_name} -c istio-proxy – bash 初始化配置文件/etc/istio/proxy/envoy-rev0.json node区域包含envoy所在节点的相关信息ID、所属集群、IPadmin区域Envoy的日志路径及管理端口dynamic_resources动态资源来自xDS服务器下发的配置static_resources静态资源包括预制的Listener和Clustertracing分布式调用追踪的配置 全局配置curl http:127.0.0.1:15000/config_dump BootstrapConfigDump即为上述初始化配置文件内容ClusterConfigDump集群配置包括对应于外部服务的Outbound Cluster和自身所在节点服务的InboundListenersConfigDump监听器配置包括用于堆外业务请求的Outbound Listener处理入栈业务请求的Inbound Listener以及作为流量处理入口的Virtual ListenerRoutesConfigDump路由配置用于HTTP请求的路由配置SecretConfigDumpTLS双向认证的配置包括自身的证书以及用于验证请求方的CA根证书
实现流量控制的自定义资源
VirtualService用于控制流量转发规则及api粒度治理功能配置timeout和retry实现超时、重试配置fault实现故障注入DestinationRule定义路由的目标服务和流量策略在此资源的Traffic Policy中设置熔断、健康检查配置ServiceEntry注册外部服务到网格内Gateway用来控制进出网格的流量包括入口和出口网关Sidercar用sidecar代理进行整体设置WorkloadEntry/WorkloadGroup将虚拟机接入网格。
istio的安装
基于已有的K8S环境下载istio 最新版本curl -L https://istio.io/downloadIstio | sh -指定版本curl -L https://istio.io/downloadIstio | ISTIO_version1.6.8 TARGET_ARCHx86_64 sh - 添加环境变量export PATHPATH:PATH:PATH:(pwd)/istio-1.11.2/bindemo配置安装istioistioctl install --setdemo -y验证相关服务kubectl get all -n istio-system
istio的升级
金丝雀升级 安装canary版本控制平面istioctl install --set revisioncanary确定当前istiod pod情况kubectl get pod -n istio-system确认新版的sidecar injectkubectl get mutatingwebhookconfigurations数据平面升级kubectl label namespace default istio-injection- istio.io/revcanary(先去除istio-injection标签因为此标签优先级高于canary)重新注入sidecarkubectl rollout restart deployment -n default验证当前控制平面istioctl proxy-config endpoints ${pod_name}.default --cluster xds-grpc -ojson | grep hostname
注意事项 1、不建议一次性跨越多个版本升级 2、使用金丝雀升级让新老版本istiod同时存在 3、只安装canary版本的控制平面不会对现有代理产生影响
热升级
1、确认k8s集群环境kubectl config view 2、执行命令升级istio upgrade安装时使用-f升级也要用安装时使用–set,升级时也要用同样标志。 3、重新注入sidecarkubectl rollout restart deployment -n default
注意事项 1、istioctl upgrade升级当检测到版本间配置有变化会提醒用户 2、只支持istioctl安装的istio 3、升级过程中服务可能会发生中断保证除citadel以外组件至少两个副本在运行
相关资源之间联系 gateway中的spec.server.port与ingressgateway的svc的port对应gateway中的spec.selector与标签选中的ingressgateway的pod联系设置下发代理vituralservice中的spec.gateways 与对应的gateway联系DestinationRule中的spec.subsets(子集)定义啦vitualservice中的spec.http.route.destination.subsetDestinationRule在vitualservice路由规则生效后使用应用于真实的目标地址DestinationRule中的subsets通过标签匹配pod virtualservice的spec.hosts和serviceEntry的spec.hosts一致则可以实现对外部服务的访问规则设置
